合 MSSQL服务主密钥
Tags： MSSQLSQL Server服务主密钥
简介
服务主密钥为 SQL Server 加密层次结构的根。服务主密钥是首次需要它来加密其他密钥时自动生成的。默认情况下，服务主密钥使用 Windows 数据保护 API 和本地计算机密钥进行加密。只有创建服务主密钥的 Windows 服务帐户或有权访问服务帐户名称和密码的主体能够打开服务主密钥。
重新生成或还原服务主密钥涉及解密和重新加密完整的加密层次结构的操作。除非危及到该密钥的安全性，否则应该在需求较低的时间段内安排这种占用大量资源的操作。
在SQL Server中，服务主密钥（Service Master Key, SMK）是数据库加密体系的核心组件之一，用于保护其他加密密钥（如数据库主密钥、证书、对称密钥等）。
SQL Server 的服务主密钥（Service Master Key, SMK）是整个数据库加密体系的基石，它是加密层次结构中的最高级密钥，位于加密层级的最顶端。
以下是关于服务主密钥的关键特性与作用：
自动创建与初始化： 服务主密钥在首次安装SQL Server实例时自动创建，并在第一次启动SQL Server实例时自动生成。它用于初始化并保护数据库加密的基础设施。
用途与加密对象：•系统数据保护：SMK负责加密SQL Server内部的一些系统数据，例如链接服务器密码、凭据（credentials）等。•数据库主密钥（Database Master Key, DMK）加密：每个数据库中的数据库主密钥是由服务主密钥加密保护的，确保即使在数据库文件被盗取的情况下，没有SMK，DMK也无法被解密。•证书与非对称密钥保护：SMK间接参与对存储在数据库中的证书和非对称密钥的保护，这些对象通常是通过数据库主密钥进一步加密的，而数据库主密钥本身又受到SMK的保护。
密钥存储与加密方式： 服务主密钥默认使用Windows数据保护API（Data Protection API, DPAPI）与本地计算机密钥一起进行加密。这样可以利用操作系统级别的安全机制来保护SMK的安全，确保只有在该特定计算机上运行的SQL Server服务进程，且使用了正确服务账户的上下文中，才能访问和解密SMK。
密钥管理与变更：•备份与恢复：作为关键的基础设施组件，服务主密钥应定期备份，并存储在安全的位置。在需要恢复的情况下（如灾难恢复或服务器迁移），可以使用备份的SMK重新加密受影响的数据库主密钥和其他依赖项。•更改服务账户：当SQL Server服务账户发生变化时，可能需要更新服务主密钥。使用SQL Server配置管理器进行此类变更可以确保SMK的正确处理，包括解密现有密钥和使用新服务账户重新加密。•密钥重生成：在某些情况下（如怀疑密钥泄露或安全策略要求），可能需要重新生成服务主密钥。使用 ALTER SERVICE MASTER KEY REGENERATE T-SQL语句可以完成这一操作。这是一个资源密集型任务，因为它涉及到解密所有依赖SMK的密钥，然后使用新生成的SMK重新加密它们。因此，通常应在系统负载较低的时段执行。
安全注意事项： 服务主密钥对于整个SQL Server实例的加密安全至关重要。如果丢失或损坏，可能会导致依赖其加密的所有数据不可访问。因此，应遵循严格的安全实践，包括：•定期备份SMK，并确保备份的安全存储和访问控制。•限制对能够管理SMK的账户的访问，通常只有具有sysadmin权限的系统管理员才能执行相关操作。•监控SQL Server错误日志和操作系统事件查看器，以便及时发现与SMK相关的任何问题或异常。
综上所述，SQL Server的服务主密钥是加密体系的核心，负责保护数据库中的敏感数据和关键加密对象，通过与操作系统安全机制的紧密集成，确保了数据的安全性和完整性。妥善管理和备份服务主密钥对于维护数据库系统的整体安全至关重要。
ALTER SERVICE MASTER KEY
1 2 3 4 5 6 7 8 9 10 | ALTER SERVICE MASTER KEY [ { <regenerate_option> | <recover_option> } ] [;] <regenerate_option> ::= [ FORCE ] REGENERATE <recover_option> ::= { WITH OLD_ACCOUNT = 'account_name' , OLD_PASSWORD = 'password' } | { WITH NEW_ACCOUNT = 'account_name' , NEW_PASSWORD = 'password' } |
参数
FORCE
指示即使存在数据丢失的风险，也应当重新生成服务主密钥。 有关详细信息，请参阅本主题下文中的更改 SQL Server 服务帐户。REGENERATE
指示应当重新生成服务主密钥。OLD_ACCOUNT ='\account_name**'**
指定旧的 Windows 服务帐户的名称。展开表
注意此选项已过时。 请勿使用。 请改用 SQL Server 配置管理器。 OLD_PASSWORD ='\password**'**
指定旧的 Windows 服务帐户的密码。展开表
注意此选项已过时。 请勿使用。 请改用 SQL Server 配置管理器。 NEW_ACCOUNT ='\account_name**'**
指定新的 Windows 服务帐户的名称。展开表
注意此选项已过时。 请勿使用。 请改用 SQL Server 配置管理器。 NEW_PASSWORD ='\password**'**
指定新的 Windows 服务帐户的密码。本人提供Oracle(OCP、OCM)、MySQL(OCP)、PostgreSQL(PGCA、PGCE、PGCM)等数据库的培训和考证业务，私聊QQ646634621或微信dbaup66，谢谢！
